Техническая информация
Вредоносные функции:
Выполняет код следующих детектируемых угроз:
- Android.DownLoader.906.origin
Сетевая активность:
Подключается к:
- UDP(DNS) 8####.8.4.4:53
- TCP(HTTP/1.1) gd.a.s####.com:80
- TCP(HTTP/1.1) a.bjsd####.com:80
- TCP(HTTP/1.1) h####.ug####.com:80
- TCP(HTTP/1.1) oss.m####.g.####.com:80
- TCP(HTTP/1.1) z.c####.com:80
- TCP(HTTP/1.1) w####.pcon####.com.cn:80
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) oss.m####.g.####.com:443
- TCP(TLS/1.0) d####.mi####.xi####.com:443
- TCP(TLS/1.0) www.gst####.com:443
- TCP(TLS/1.0) android####.go####.com:443
- TCP(TLS/1.0) and####.google####.com:443
- TCP(TLS/1.0) 2####.58.214.14:443
- TCP(TLS/1.2) 1####.250.179.174:443
- TCP(TLS/1.2) www.google####.com:443
- TCP(TLS/1.2) 2####.58.208.99:443
Запросы DNS:
- a.bjsd####.com
- and####.google####.com
- android####.go####.com
- d####.g####.xi####.com
- d####.mi####.xi####.com
- h####.ug####.com
- instant####.google####.com
- m####.go####.com
- md####.google####.com
- ny.bul####.cn
- oss.m####.g.####.com
- pv.s####.com
- w####.pcon####.com.cn
- www.google####.com
- www.gst####.com
- y####.b####.com
- y####.b####.com.####.8
- z####.heyc####.net
- z####.heyc####.net.####.8
- z9.c####.com
Запросы HTTP GET:
- oss.m####.g.####.com:443/1px.gif?CID=####&p1=####&time=####&imei=####&ua...
- oss.m####.g.####.com:443/1px.gif?channelId=####&imei=####&ua=####&appid=...
- z.c####.com/stat.htm?id=####&cnzz_eid=####
Запросы HTTP POST:
- a.bjsd####.com/index.php?r=####
- d####.mi####.xi####.com:443/mistats
- gd.a.s####.com/cityjson
- h####.ug####.com/api/sdkInit
- oss.m####.g.####.com/ossv2/getbaseinfo
- w####.pcon####.com.cn/ip.jsp
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/.jgck
- /data/data/####/_device_holder_gamesdkplugin.xml
- /data/data/####/_p.xml
- /data/data/####/_pn
- /data/data/####/_sh.xml
- /data/data/####/_shn
- /data/data/####/adCache.xml
- /data/data/####/cewhbscd.xml
- /data/data/####/classes.dex
- /data/data/####/classes.oat
- /data/data/####/classes.oat.flock (deleted)
- /data/data/####/com.e8game.fkhs.mi_preferences.xml
- /data/data/####/dpi
- /data/data/####/gnae.xml
- /data/data/####/libjiagu.so
- /data/data/####/marsprefile.xml
- /data/data/####/mimo_asset.apk
- /data/data/####/mimo_asset.dex
- /data/data/####/mimo_asset.dex.flock (deleted)
- /data/data/####/mtDedat
- /data/data/####/mtEndat (deleted)
- /data/data/####/mt_paythird.jar
- /data/data/####/mt_paythird.odex
- /data/data/####/mt_paythird.odex.flock (deleted)
- /data/data/####/mt_support.dex
- /data/data/####/mt_support.dex.flock (deleted)
- /data/data/####/mt_support.jar
- /data/data/####/options.for.com.e8game.fkhs.mi.xml
- /data/data/####/prdopt.xml
- /data/data/####/pref_first_channel.xml
- /data/data/####/report2.db-journal
- /data/data/####/zeus_pms.xml
Другие:
Запускает следующие shell-скрипты:
- /system/bin/sh
- cat /sys/class/net/wlan0/address
- getprop
Использует следующие алгоритмы для шифрования данных:
- AES-CBC-PKCS5Padding
- AES-ECB-PKCS5Padding
- RSA-None-PKCS1Padding
Использует следующие алгоритмы для расшифровки данных:
- AES-ECB-PKCS5Padding
- DES
Осуществляет доступ к приватному интерфейсу ITelephony.
Использует специальную библиотеку для скрытия исполняемого байт-кода.
Получает информацию о местоположении.
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Получает информацию об установленных приложениях.
Получает информацию о запущенных приложениях.
Запрашивает разрешение на отображение системных уведомлений.
